Kaspersky Threat Data Feeds

Que contiennent les flux de données sur les menaces de Kaspersky ?

Flux d’indicateurs réseau – URL malveillantes, de hameçonnage et de C&C de botnets, avec masques et hôtes.
Flux de réputation IP – Adresses IP suspectes et malveillantes avec contexte de menace.
Flux de hachages malveillants – Hachages de fichiers couvrant Windows, Linux, macOS, Android et iOS.
Indicateurs de compromission (IOC) liés aux APT et aux logiciels malveillants – Hachages, URL, adresses IP et indicateurs YARA issus des recherches de Kaspersky.
Flux de données spécialisés – DNS passif, URL IoT, règles Suricata, données sur les vulnérabilités et données open source.
Important – Aucun agent, aucune console ; ce sont vos outils qui se chargent de la détection et du blocage.

Quels sont les principaux avantages des flux de données sur les menaces de Kaspersky ?

Les flux de données sur les menaces de Kaspersky constituent un abonnement à des listes d’indicateurs lisibles par machine que vous téléchargez via HTTPS et chargez dans votre propre SIEM, pare-feu ou plateforme de renseignements sur les menaces. La documentation de Kaspersky désigne également ce service sous le nom de « Kaspersky Threat Intelligence Data Feeds », et l’outil de correspondance qui l’accompagne, Kaspersky CyberTrace, s’appelait auparavant « Kaspersky Threat Feed Service ».

Triage plus rapide des alertes –  Le contexte associé à chaque enregistrement indique quelles alertes méritent d’être transmises à un niveau supérieur.
Réduction de la charge du SIEM – CyberTrace effectue la mise en correspondance des événements en externe plutôt qu’au sein du SIEM.
Listes de blocage pour pare-feu – Des listes de refus dynamiques alimentent les pare-feu de nouvelle génération (NGFW), les proxys et les passerelles de messagerie.
Formats indépendants des éditeurs – Les formats JSON, CSV, STIX et OpenIoC évitent la dépendance vis-à-vis d’un outil spécifique.
Connecteurs prêts à l’emploi – QRadar, ArcSight, Splunk, MISP, Sentinel et Suricata sont pris en charge.
Aucune donnée ne quitte votre réseau – Kaspersky fournit uniquement du texte ; la mise en correspondance s’effectue de votre côté.

À quelle taille d’entreprise les flux de données sur les menaces de Kaspersky sont-ils adaptés ?

Le facteur déterminant n’est pas l’effectif, mais le fait de savoir si un membre de votre organisation utilise déjà un SIEM, une plateforme de renseignements sur les menaces ou un pare-feu de nouvelle génération doté de listes de blocage dynamiques. Sans l’un de ces éléments, les flux n’ont aucun élément de comparaison et ne produisent aucun résultat.

Les flux de données sur les menaces de Kaspersky répondent-ils aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration prévue par la loi révisée sur la sécurité de l’information s’applique aux opérateurs d’infrastructures critiques, parmi lesquels figurent les services publics d’énergie et d’eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de services cloud et de centres de données, ainsi que les administrations cantonales et communales. À compter du 1er avril 2025, ces organisations devront signaler toute cyberattaque éligible à l'Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, et disposeront de 14 jours supplémentaires pour compléter le rapport. Les flux de données sur les menaces de Kaspersky facilitent le respect de ce délai d’une manière bien précise : chaque enregistrement contient des informations contextuelles telles que le nom de la menace, les horodatages, les adresses IP résolues et la géolocalisation, soit les éléments dont un analyste a besoin pour décrire ce qui a été observé et à quel moment. Il ne détecte pas l’incident à votre place, ne génère pas de chronologie des événements, ne fournit pas de preuves techniques ni de formulaire de rapport, et ne conserve pas d’historique du dossier ; le rapport lui-même doit donc toujours être établi à partir de votre SIEM, de vos outils de gestion des terminaux ou d’un prestataire spécialisé dans la réponse aux incidents. Il ne couvre pas non plus les obligations organisationnelles, telles que la désignation des personnes responsables ou la mise en place d’un processus d’escalade. Ce texte ne constitue pas un avis juridique ; il vous appartient de vérifier auprès de vos propres conseillers juridiques si votre organisation est soumise à l’obligation de déclaration.

Les flux de données sur les menaces de Kaspersky répondent-ils aux exigences de la législation européenne en matière de cybersécurité ?

Aucun logiciel ne permet à une organisation de se mettre en conformité avec la directive NIS 2, car celle-ci porte sur la responsabilité de la direction et les processus plutôt que sur les outils. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en place des analyses de risques et des politiques de sécurité, la gestion des incidents, la continuité des activités et la gestion de crise, la sécurité de la chaîne d’approvisionnement, la gestion et la divulgation des vulnérabilités, des procédures d’évaluation de l’efficacité des mesures, l’hygiène informatique et la formation, la cryptographie, le contrôle d’accès, la gestion des actifs et l’authentification multifactorielle. Les flux de données sur les menaces de Kaspersky contribuent à trois de ces catégories : la gestion des incidents, grâce à la mise en correspondance des indicateurs et à la hiérarchisation des alertes ; la gestion des vulnérabilités, via le flux de données sur les vulnérabilités ; et la sécurité de la chaîne d’approvisionnement, via le flux de données sur les menaces liées aux logiciels open source utilisé au sein d’un pipeline de compilation. Il n’apporte aucune contribution au contrôle d’accès, à l’authentification multifactorielle, à la cryptographie, à la continuité des activités, à la sauvegarde, à la formation du personnel, à l’inventaire des actifs ou à la documentation des politiques, et il ne protège aucun terminal, serveur ou boîte mail. Considérez-le comme un élément parmi d’autres d’un processus de détection qui doit déjà exister.

Que faut-il savoir des évaluations officielles concernant Kaspersky ?

Deux mesures officielles sont pertinentes et toutes deux sont toujours en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) met en garde contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022 et recommande de les remplacer par des produits alternatifs ; conformément à la loi allemande de transposition de la directive NIS 2 entrée en vigueur le 6 décembre 2025, cet avertissement est désormais émis en vertu de l’article 13 de la BSIG. Le BSI précise que cet avertissement concerne la gamme de logiciels antivirus et qu’il n’a émis aucune déclaration concernant les autres produits de la gamme. Aux États-Unis, le ministère du Commerce (BIS) a rendu, le 20 juin 2024, une décision définitive interdisant à Kaspersky de fournir des produits ou services antivirus et de cybersécurité à des personnes américaines, avec prise d'effet à compter du 29 septembre 2024 ; cette décision ne s'applique expressément pas aux produits et services « Kaspersky Threat Intelligence », à la formation en sécurité Kaspersky, ni aux services de conseil et d'accompagnement à caractère purement informatif ou pédagogique. Kaspersky estime pour sa part que l'avertissement du BSI n'est pas justifié et ne repose pas sur une analyse technique de ses logiciels, et elle met en avant son initiative «Global Transparency Initiative», dans le cadre de laquelle les données relatives aux menaces provenant d’utilisateurs européens sont traitées dans deux centres de données situés à Zurich depuis novembre 2018 et où des examens du code source sont proposés dans ses centres de transparence. Concrètement, cela concerne surtout les acheteurs du secteur public, les fournisseurs du secteur de la défense et des infrastructures critiques, ainsi que toute entreprise dont les clients imposent des règles relatives au pays d’origine aux fournisseurs de solutions de sécurité ; une entreprise privée suisse ne soumise à aucune exigence contractuelle de ce type n’est pas affectée de la même manière qu’une administration cantonale. Un détail technique mérite d’être mentionné dans cette décision : les flux sont des fichiers texte que vous téléchargez, et Kaspersky précise que la mise en correspondance doit être effectuée par vos propres outils ; ainsi, aucun logiciel du fournisseur ne s’exécute sur vos systèmes et aucune télémétrie n’est renvoyée à Kaspersky via ce produit.

Norton vs Kaspersky – Quel programme antivirus offre la meilleure protection en 2025 ?
Une comparaison détaillée des deux fournisseurs en termes de qualité de détection, de fonctionnalités et d’utilisation pratique.

Les flux de données sur les menaces de Kaspersky sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement en matière de détection. Il vous fournit une réponse documentée à des questions telles que : êtes-vous abonné à un service commercial de renseignements sur les menaces ? Les indicateurs de compromission sont-ils comparés à vos données de journaux ? Surveillez-vous les composants open source utilisés dans le développement ? Recevez-vous des informations structurées sur les vulnérabilités ? Les statistiques d’utilisation des flux dans CyberTrace vous permettent également de montrer quelles sources ont effectivement généré des détections, ce qui est plus convaincant que de simplement citer le nom d’un fournisseur. Il ne répond à aucune des questions suivantes, alors que les questionnaires les abordent toutes : protection des terminaux et des serveurs, EDR ou détection gérée, gestion des correctifs, chiffrement des disques, authentification multifactorielle, contrôle des accès privilégiés, tests de sauvegarde et de restauration, durées de conservation des journaux, formations de sensibilisation, contrat de réponse aux incidents et certification ISO 27001 ou équivalente. Sachez que de nombreux questionnaires destinés aux entreprises et au secteur public comportent désormais une question d’avertissement concernant l’origine du fournisseur ou son autorité, que ce produit ne supprime pas ; voir la section ci-dessus. La solution la plus économique pour combler les lacunes techniques consiste généralement à rester au sein d’une même famille de produits plutôt que de mélanger les fournisseurs ; associez donc les flux à un niveau « Kaspersky Next » pour la couverture des terminaux et de l’EDR, et à CyberTrace ou à un SIEM pour la couche de correspondance, au lieu d’acheter un deuxième abonnement de renseignements.

Quelle est la différence entre le pack URL et le pack Total Security Feeds ?

La seule différence déterminante réside dans le fait que le « URL Bundle » ne vous informe que des adresses Web dangereuses, tandis que le « Total Security Feeds Bundle » ajoute des renseignements au niveau des fichiers et au niveau des attaquants. Kaspersky publie cinq offres groupées : URL, URL & IP, URL & IP & Hashes, Expert Security et Total Security. Le pack « Expert Security » est celui qui inclut les indicateurs d’APT, de crimeware et de menaces mobiles, tandis que le pack « Total Security » y ajoute en plus le DNS passif, les règles Suricata, les URL IoT, les données sur les vulnérabilités et les données open source sur les menaces. Si votre cas d’utilisation concerne une liste noire de pare-feu ou de proxy, le pack URL suffit ; si votre cas d’utilisation concerne les enquêtes et l’attribution au sein d’un SOC, les packs inférieurs ne vous fourniront ni hachages ni règles YARA. Le tableau ci-dessous compare trois des cinq packs.

Quelles sont les limites à connaître avant d’acheter ?

La cause la plus fréquente d’un achat complémentaire réside dans la couche de mise en correspondance : les flux sont des fichiers d’indicateurs bruts, et un outil doit les comparer à vos journaux. Kaspersky CyberTrace propose une version communautaire gratuite à cet effet, mais l’édition payante ajoute le graphe de recherche, la base de données d’indicateurs et la multi-location dont les fournisseurs de services finissent généralement par avoir besoin. En ce qui concerne la disponibilité régionale, l’interdiction américaine émise par le Département du commerce exclut les produits Kaspersky Threat Intelligence de son champ d’application ; toutefois, Kaspersky a cessé ses activités aux États-Unis à compter de juillet 2024. Les entités américaines d’un groupe international doivent donc s’assurer de la disponibilité de l’offre avant de standardiser l’utilisation des flux ; l’avertissement du BSI allemand s’applique à la gamme d’antivirus et relève davantage d’une question d’approvisionnement que d’une question technique en Suisse et dans la majeure partie de l’Union européenne. La couverture des flux est inégale d’un forfait à l’autre, et les indicateurs les plus recherchés par les enquêteurs, à savoir les hachages APT et de crimeware accompagnés de règles YARA, ne sont disponibles que dans les deux forfaits les plus complets. Enfin, les intervalles de mise à jour varient selon les flux et ne sont pas uniformément en temps réel : les flux d’URL sont actualisés toutes les 10 à 20 minutes environ, les données relatives aux serveurs de commande et de contrôle (C&C) des botnets et aux vulnérabilités toutes les heures, et les données sur les menaces issues de l’open source toutes les quelques heures.

Le meilleur antivirus ? Pourquoi Windows Defender seul ne suffit pas.
Explique pourquoi une seule couche de protection laisse des failles et ce qu’apporte concrètement une configuration multicouche.

Foire aux questions sur les flux de données sur les menaces de Kaspersky

Les flux de données sur les menaces de Kaspersky remplacent-ils un antivirus ou une solution EDR ?

Non. Les flux ne contiennent aucun moteur de protection, n’installent rien sur un poste de travail ou un serveur, et ne bloquent rien par eux-mêmes. Ils fournissent des indicateurs aux contrôles de sécurité que vous utilisez déjà ; un produit de protection des terminaux ou EDR reste donc un achat distinct.

Nous vous aidons à faire votre choix. Test : logiciels antivirus – Les meilleurs antivirus pour Windows en 2025
Une comparaison des produits antivirus Windows actuels pour vous aider à choisir la couche de protection sur laquelle les flux viendront s’appuyer.

Ai-je besoin de Kaspersky CyberTrace pour utiliser les flux ?

Pas nécessairement. Tout outil capable de traiter les formats JSON, CSV, STIX ou OpenIoC fonctionnera, notamment QRadar, ArcSight, Splunk, Azure Sentinel, MISP, ThreatConnect, EclecticIQ et Suricata. CyberTrace est le moteur de correspondance propre à Kaspersky. Il mérite d’être pris en considération principalement parce qu’il effectue la corrélation en dehors du SIEM, ce qui permet de limiter la consommation de licences d’événements et la charge d’indexation.

Certaines de nos données sont-elles transmises à Kaspersky lorsque nous utilisons les flux ?

Kaspersky précise qu’il fournit uniquement des flux textuels et que la mise en correspondance des menaces est effectuée par les outils du client. Le flux de données est un téléchargement unidirectionnel via HTTPS ; vos données de journaux et vos résultats de détection restent donc au sein de votre infrastructure.